Autenticação

Envie a chave em todas as requisições, no cabeçalho Authorization, com o esquema Bearer:

Authorization: Bearer loy_live_XXXXXXXXXXXX_…

• Nunca na URL nem no corpo. Chave enviada como parâmetro é recusada com 400 api_key_in_url, sem processar a requisição.
• Chave inválida, revogada ou expirada recebe sempre a mesma resposta: 401 invalid_api_key. Muitas tentativas inválidas seguidas a partir do mesmo endereço passam a receber 429.
• A chave define a empresa. Parâmetros que tentem apontar para outra empresa são ignorados.
• Revogação é imediata. Se a chave vazar, peça a revogação e uma nova chave.

Ambientes

Durante o piloto existe apenas o ambiente live (chaves loy_live_). Chaves de teste (loy_test_) ainda não são aceitas; o ambiente de testes isolado chega numa etapa posterior do piloto.

Escopos

Cada chave recebe só as permissões de que a integração precisa. Cada endpoint da referência indica o escopo exigido; sem ele, a resposta é 403.